Certbot /.well-known/acme-challenge

Question

我应该让 /.well-known/acme-challenge 始终暴露在服务器上吗？ 这是我的 HTTP 配置：

server {
 listen 80;

 location '/.well-known/acme-challenge' {
    root        /var/www/demo;
  }

 location / {
          if ($scheme = http) {
            return 301 https://$server_name$request_uri;
          }
 }

这基本上将所有请求重定向到 https，除了 acme-challenge（用于自动续订）。我的问题：是否可以将位置“/.well-known/acme-challenge”始终暴露在端口 80 上？或者在需要重新颁发证书时最好手动注释/取消注释？这有什么安全问题吗？

任何有关此位置的建议或阅读链接表示赞赏。谢谢！

Answer 1

Acme 质询链接仅用于验证该 IP 地址的域

Answer 2

证书签署后，您无需保留令牌。但是，让它可用​​也没有太大的危害，就像explained by a Certbot engineer：

令牌是特定质询的一部分，从 ACME 服务器的角度来看，在服务器尝试对其进行验证后，该质询不再有效。它会透露一些关于您如何获得证书的信息，但不应允许其他人为您的网站颁发证书或冒充您。

Answer 3

如果有人觉得这有帮助，我只是询问了我的托管客户支持，他们按照以下说明进行了解释...

是的，“知名”文件夹是由 cPanel 自动创建的 为 AutoSSL 目的验证您的域。 AutoSSL 是一个附加的 cPanel/WHM 为您提供免费 SSL 证书的功能 域，也称为自签名 SSL 证书。文件夹 .well-known 在域验证过程中创建的时间为 AutoSSL 安装的一部分

而且它不是需要删除的文件，它不会导致任何 问题。

Answer 4

文件名前的句点（.well-known）表示它是一个隐藏目录。如果您的服务器被黑客入侵，黑客就可以使用这些信息。